Multi-Stage Knowledge-Distilled VGAE and GAT for Robust Controller-Area-Network Intrusion Detection

## КОНТЕКСТ И ПРОБЛЕМАТИКА Контроллер Area Network (CAN) является широко используемым протоколом для взаимодействия внутри автомобилей, обеспечивая надежную передачу данных между электронными компьютерными системами. Однако, несмотря на его эффективность, CAN открыт для кибер-атак из-за отсутствия встроенных механизмов безопасности. Это делает автомобили уязвимыми к несанкционному вмешательству, что может привести к серьезным последствиям, включая потерю контроля над автомобилем. Интрусивное обнаружение (Intrusion Detection System, IDS) является ключевым решением для обеспечения безопасности CAN. Однако, существующие методы IDS для CAN-трафика сталкиваются с несколькими проблемами, включая классическую несбалансированность данных (class imbalance), высокую сложность моделей, и ограниченную эффективность в реальных условиях. Основным вызовом является разработка методологии, которая может эффективно обнаруживать аномалии и кибер-атаки в CAN-трафике, особенно когда данные характеризуются высокой несбалансированностью классов. Традиционные методы, основанные на статистических моделях или машинном обучении, часто не справляются с этими вызовами из-за недостатка мощности модели или недостаточного учета временных и структурных зависимостей в данных. Предлагаемая статья предлагает инновационный подход, который сочетает неконтролируемые методы обнаружения аномалий (unsupervised anomaly detection) и контролируемые графовые модели обучения (supervised graph learning) для улучшения точности и эффективности обнаружения атак в CAN-протоколе. Этот подход использует графовые модели для моделирования временных и структурных отношений между сообщениями CAN, что позволяет более точно определять аномалии и атаки. ## ПРЕДЛОЖЕННЫЙ МЕТОД Предлагаемая система интрусивного обнаружения основывается на многоступенчатой архитектуре, которая интегрирует Variational Graph Autoencoder (VGAE) и Knowledge-Distilled Graph Attention Network (KD-GAT). Эта система разработана специально для обнаружения аномалий и кибер-атак в трафике CAN. Первым этапом является представление CAN-трафика в виде последовательностей графов, где узлы графа представляют отправителей и получателей сообщений, а ребра обозначают взаимодействия между ними. Это позволяет моделировать временные и структурные зависимости между сообщениями, что критически важно для обнаружения атак. Затем, VGAE используется для выявления структурных аномалий в графовой структуре. VGAE обучается на графовой представлении CAN-трафика для выявления необычных или подозрительных структур, которые могут указывать на атаку. Для решения проблемы классовой несбалансированности, VGAE также применяется для селективного undersampling, что помогает сократить количество данных без потери информации. На последующем этапе, Gra